Cybersikkerhed fra et bestyrelses- og ledelsesperspektiv

Kære bestyrelsesmedlemmer og ledelse i offentlige og private virksomheder

IT- og OT-sikkerhed er blandt de største udfordringer, vi står over for i dag, både i den offentlige og den private sektor. Som ledere har vi et ansvar for at forstå og håndtere disse risici. Med de e tekst ønsker jeg at give indsigt i, hvordan vi kan håndtere de mest presserende udfordringer – og sikre, at vi ikke falder i de mest almindelige fælder. Vi må bevæge os væk fra “kryds i kassen”-syndromet og fokusere på konkrete handlinger – på hvad og hvordan. Det er et lederansvar.

Min personlige erfaring

For et par år siden gik jeg næsten i panik, da jeg forstod, hvor eksponeret vi var som virksomhed, og hvilke dimensioner der skal håndteres i praksis for at reducere it-sikkerhedseksponeringen. Fra et bestyrelses- og ledelsesperspektiv skal it-sikkerheden dække tre hovedområder:

• Forebyggelse af forretningsafbrydelser
• Sparer tid og omkostninger
• Forbedringer og overholdelse

Jeg er uddannet i erhvervsøkonomi og har arbejdet i teknologibranchen i omkring 25 år. Med tiden er jeg trådt ind i toplederroller og har gradvist distanceret mig fra detaljerne, efterhånden som det teknologiske landskab udvikler sig hurtigt. Min paniske erkendelse opstod, da vi gik ind på markedet med services til styring af kritisk infrastruktur for kunder. Min frygt bundede i muligheden for, at vi ikke gik dybt nok eller var specifikke nok, hvilket ku e føre til fremtidige forhindringer på grund af eksterne trusler, der skadede eller lammede vores infrastruktur – og dermed hindrede vores leverancer og kunder.

Der tales meget om sikkerhed og compliance. Men meget af det forbliver overfladisk, fordi vi ikke rigtig forstår problemerne og ofte drager konklusioner på et spinkelt grundlag. Mange lider også af “kryds i boksen”-syndromet, hvor virkeligheden efterlader et betydeligt hul mellem hensigt og praksis. Udfordringen med at gå dybt nok er kompleks, men nøglefaktorer som viden, kapacitet, dagsordener, naivitet, kultur og risikovillighed er centrale i ligningen.

I de e sammenhæng fokuserer jeg på viden og områder, som ofte er underkommunikerede på ledelsesniveau. Der er en tendens til at nøjes med overskrifter og buzzwords. For at komme ud over seminar- og konferencetilstanden er vi nødt til at blive konkrete omkring disse emner.

Ambitioner og evnen til at være konkret

Der er mange misforståelser og begrebsforvirringer. Målet er ikke at navigere i de e jungle, men at fremhæve områder, der ofte undervurderes, og hvor svaghederne er størst – selv i miljøer, der fokuserer på sikkerhed og tager emnet alvorligt. Diskussioner fører sjældent til de rigtige resultater, hvis de er udformet i binære termer. Alle forstår, at der er nuancer, men nogle gange er vi nødt til at forenkle for at skabe diskussioner og måske endda gnidninger.

Lad os hæve ambitionen for IT-sikkerhed. På en skala fra 0 til 10 er en score på 7 ikke god nok. Opfattelsen af, at det er uoverkommeligt dyrt at nå op på 9, skal udfordres – selvom det i høj grad er sandt, hvis en virksomhed tror, at den kan håndtere hele spektret alene uden ekstern hjælp.

Hvis vi er enige om ambitionsniveauet, er der nogle områder, hvor svaghederne træder tydeligere frem, når vi bevæger os ud over det grundlæggende og indlysende. Ikke i nogen særlig rækkefølge:

Det er muligt at gøre betydelige fremskridt – viden og vilje

Har min første panik lagt sig? Ja, det er den. Ingen kan give absolutte garantier, men ved at sikre yderpunkterne i værdikæden styrer vi risikoen for både os og vores kunder. Vi modtager ca. 1,5 millioner begivenheder pr. sekund fra vores kunder. Kilderne er mangfoldige. Samspillet mellem teknologi, me esker og processer er afgørende for at sikre sikkerheden og bevare integriteten af kritisk infrastruktur. En systematisk og holistisk tilgang er afgørende for succes.

Vi lever i en kompleks verden, hvor sikkerhedstruslerne bliver mere og mere omfattende. Som samfund kan ingen enkelt enhed gøre alt, men alle kan bidrage til at forbedre det overordnede sikkerhedslandskab.

Som organisation – uanset om det er i den offentlige eller private sektor – er vores fokus på forretningsudvikling, ge emførelse af strategier og opnåelse af vores mål. Vi vil gerne undgå at gå glip af muligheder, og it-sikkerhed udgør en betydelig trussel mod vores ambitioner. For at imødegå dette har vi brug for en sikkerhedsstrategi, der er omfattende og robust.

Har du et par soldater, en deling eller en hel forsvarsstyrke? De virkelige trusler ligger i detaljerne. “Godt nok” bør være en bevidst beslutning, og vi må ikke undervurdere styrken af elementer, der historisk set har været betragtet som mindre vigtige. At forstå detaljerne og vide, hvor man skal lægge ekstra fokus, har været min prioritet i de e diskussion. Det starter med ambitioner og slutter med lederskab.